“비트코인 등 가상자산 가격이 올라갈수록 이를 노린 공격도 증가한다.” “해외 가상자산사업자가 해킹당하면 우리나라도 시간차로 문제가 된다.” 정보통신 전문가들의 말이다.

31일 정보통신 업계에 따르면 한국인터넷진흥원(KISA)은 지난 24일 ‘2024 상반기 사이버 위협 동향’을 발표하면서 “국내 블록체인 기업 대상 가상자산 탈취(스피어피싱) 공격이 증가하고 있어 각별한 주의가 필요하다”며 “대형거래소보다는 상대적으로 보안이 약한 일반 가상자산사업자에 대한 사이버 공격이 집중되고 있다”고 밝혔다. 그러면서 상반기 사이버침해 사고 신고가 899건으로 지난해 같은 기간 664건보다 35% 증가했다고 설명했다. 스피어피싱(Spear Phishing)은 작살처럼 특정 회사나 개인들을 대상으로 한 피싱 공격을 말한다.

KISA는 사이버 공격자들이 가상자산거래소 담당자가 보낸 메일을 위장해 악성코드를 유포하고 감염과 동시에 코인 지갑파일과 개인 키, 토큰 발행권한 등을 유출하고 있다고 밝혔다.

피해 사례는 블록체인 기반 엔터테인먼트 NFT(대체불가능 토큰) 업체가 지난 4월 800억원가량의 가상자산을 탈취당한 사건이다. 지난 2월에는 블록체인 게임 플랫폼 업체가 478억원을 탈취당한 것으로 파악됐다.

과학기술정보통신부 사이버침해대응과 한 관계자는 “가상자산 개인 피해를 상세히 추산하기는 어렵다”면서도 “가상자산 플랫폼이 해킹당하면 당연히 이용자 정보도 해킹된다”고 밝혔다.

지난 4월에는 산업기능요원으로 블록체인 기술기업체에 근무하던 A씨가 가상자산대출시스템을 통해 허위 입금주소를 입력하는 방식으로 29억원 상당의 이더리움을 송금받아 편취한 사건이 있었다. A씨는 1심에서 특정경제범죄가중처벌법상 사기와 배임, 컴퓨터등장애업무방해 혐의로 징역 4년을 선고받았다.

지난 2022년에는 사망한 넥슨 창업주 김정주씨의 가상자산 계좌를 해킹해 85억원 상당의 코인을 빼돌린 B씨가 징역 6년을 선고받기도 했다. 같은 해 6월에는 가상자산 정보를 공유하는 네이버밴드에서 우연히 노출된 거래소 계좌정보를 이용해 8억2000만원을 빼돌린 30대 C씨가 검거되기도 했다.

KISA 관계자는 “가상자산을 노린 공격이 증가하는 추세로, 개인을 대상으로 한 위험도 늘고 있어 주의를 기울여야 한다”고 밝혔다.

정통부 관계자는 “관련 플랫폼이 해킹을 당하더라도 자신의 계정관리를 잘했으면 보호를 받는 경우가 있다”며 “가장 난감한 경우는 크리덴셜스터핑으로 ID와 패스워드를 잘못 관리해 피해를 입는 경우”라고 밝혔다. 크리덴셜스터핑(Credential Stuffing)은 개인정보를 불법적으로 수집하거나 사용하는 행위를 말한다. 이 범죄는 사용자들이 동일 로그인 정보를 여러 사이트에 사용하는 점을 노린 공격이다.

보안업체들은 개인 해킹 방지를 위해 △출처가 불분명한 메일 속 첨부파일·URL 실행 자제 △콘텐츠∙SW 다운로드는 공식 경로 이용 △SW·운영체제·인터넷 브라우저 등 최신 보안 패치 적용 △로그인 시 비밀번호 외에 이중인증 사용 등을 조언하고 있다.

박광철 기자 pkcheol@naeil.com